[논문 리뷰] Exploring the Relationships between Privacy by Design Schemes and Privacy Laws: A Comparative Analysis

Atheer Aljeraisy, Masoud Barati외 2명|ORCA Online Research @Cardiff (Cardiff University)|2022. 10. 06.

Privacy, Security, and Data Protection참고 문헌 3인용 수 4

한 줄 요약

이 논문은 GDPR, PIPEDA, CCPA, APPs 및 뉴질랜드 개인정보 보호법 1993년을 포함한 다섯 가지 주요 글로벌 개인정보 보호법의 핵심 원칙과 개인의 권리들을 조율하여 통합 개인정보 보호법 프레임워크(CPLF)를 제안하고, 기존의 개인정보 보호 설계(PbD) 기법들에 대응시킨다. 연구는 현재 PbD 패턴에서 근본적인 권리인 데이터 이관 가능성 또는 신고 절차 지원 기능을 충분히 제공하지 못함을 드러내며, 소프트웨어 개발에서 법적 준수와 기술적 구현 간의 심각한 괴리를 드러낸다.

ABSTRACT

Internet of Things (IoT) applications have the potential to derive sensitive information about individuals. Therefore, developers must exercise due diligence to make sure that data are managed according to the privacy regulations and data protection laws. However, doing so can be a difficult and challenging task. Recent research has revealed that developers typically face difficulties when complying with regulations. One key reason is that, at times, regulations are vague, and could be challenging to extract and enact such legal requirements. In our research paper, we have conducted a systematic analysis of the data protection laws that are used across different continents, namely: (i) General Data Protection Regulations (GDPR), (ii) the Personal Information Protection and Electronic Documents Act (PIPEDA), (iii) the California Consumer Privacy Act (CCPA), (iv) Australian Privacy Principles (APPs), and (v) New Zealand's Privacy Act 1993. In this technical report, we presented the detailed results of the conducted framework analysis method to attain a comprehensive view of different data protection laws and highlighted the disparities, in order to assist developers in adhering to the regulations across different regions, along with creating a Combined Privacy Law Framework (CPLF). After that, we gave an overview of various Privacy by Design (PbD) schemes developed previously by different researchers. Then, the key principles and individuals' rights of the CPLF were mapped with the privacy principles, strategies, guidelines, and patterns of the Privacy by Design (PbD) schemes in order to investigate the gaps in existing schemes.

연구 동기 및 목표

• 주요 국제 데이터 보호법들 간 핵심 개인정보 보호 원칙과 개인의 권리들을 식별하고 조율하기.
• 소프트웨어 개발자가 다국적 법적 준수를 가능하게 하는 통합된 통합 개인정보 보호법 프레임워크(CPLF)를 개발하기.
• 기존 개인정보 보호 설계(PbD) 기법들과 CPLF의 원칙/권리 간의 일치 정도를 평가하기.
• 법적 권리 집행, 특히 기술적 구현 측면에서 현재 PbD 패턴의 격차를 규명하기.
• 다양한 규제 환경에서 법적 준수를 지원하는 데 적합한 PbD 패턴을 선택할 수 있도록 개발자들을 안내하기.

제안 방법

• GDPR, PIPEDA, CCPA, APPs 및 뉴질랜드 개인정보 보호법 1993년을 포함한 다섯 가지 주요 개인정보 보호법에 대한 체계적 비교 분석 수행.
• 각 법의 핵심 원칙과 개인의 권리들을 추출하고, 이를 바탕으로 통합 개인정보 보호법 프레임워크(CPLF)를 구성.
• 기본 원칙, 전략, 지침, 패턴을 포함한 기존 개인정보 보호 설계(PbD) 기법들을 조사하고 분류.
• 두 가지 기준(직접적(•) 및 간접적(○) 관계)을 사용하여 CPLF의 원칙/권리와 PbD 패턴 간의 상관관계 행렬 수립.
• 각 PbD 패턴이 CPLF 구성 요소 전반에 걸쳐 얼마나 커버하는지 분석하여 법적 요구사항을 충족하지 못하는 영역 규명.
• 조직적 또는 절차적 성격을 지닌 법적 조항들 중 개발 단계에서 기술적으로 실행 가능하지 않은 사항 식별.

실험 결과

연구 질문

• RQ1 다섯 가지 주요 글로벌 개인정보 보호법들 간 일관되게 존재하는 핵심 개인정보 보호 원칙과 개인의 권리들은 무엇인가?
• RQ2 기존 개인정보 보호 설계(PbD) 패턴들이 통합 개인정보 보호법 프레임워크(CPLF)에 정의된 원칙과 권리들을 어느 정도 지원하는가?
• RQ3 CPLF의 어떤 원칙과 권리들이 기존 PbD 패턴에 전혀 다루어지지 않았는가? 그 이유는 무엇인가?
• RQ4 PbD 패턴과 개인정보 보호법 요구사항 간 완전한 일치를 방해하는 기술적 및 법적 장벽은 무엇인가?
• RQ5 개발자는 어떻게 다국적 개인정보 보호 규정 준수를 보장할 수 있도록 PbD 패턴을 선택할 수 있는가?

주요 결과

• 통합 개인정보 보호법 프레임워크(CPLF)는 GDPR, PIPEDA, CCPA, APPs 및 뉴질랜드 개인정보 보호법 1993년을 포함한 다섯 가지 주요 데이터 보호법의 핵심 원칙과 개인의 권리들을 성공적으로 통합하였다.
• 대부분의 PbD 패턴은 CPLF의 다수의 원칙이나 권리와 관련되어 있어 다중 준수 가능성이 높지만, '일괄 전략 방지' 및 '상호 보완성'과 같은 일부 패턴은 제한된 일치를 보였다.
• '원천', '개인정보의 해외 이관', '불필요한 데이터 처리', '식별자 사용, 이용 또는 공개' 원칙은 오직 호주 및 뉴질랜드에만 해당하므로 대부분의 PbD 패턴이 이를 다루지 못한다.
• '데이터 이관 권리', '신고 권리', '차별받지 않을 권리'는 분석된 모든 PbD 패턴이 지원하지 않아 심각한 기술적 격차를 드러낸다.
• 내부 거버넌스나 집행 메커니즘과 관련된 조직적 또는 절차적 준수 요구사항을 수반하는 법적 조항들은 기술적 PbD 패턴으로는 실행할 수 없어 법과 구현 간 괴리가 발생한다.
• 연구는 PbD 패턴이 기술적 개인정보 보호 제어에는 효과적이지만, 법적 절차나 제도적 메커니즘에 의존하는 권리 집행에는 부적합하다는 점을 드러냈다.